Soffid IGA

Un directorio (AD/Azure AD) almacena usuarios y grupos; Access Management (AM) controla cómo se autentican esos usuarios (SSO, MFA); IGA responde a una pregunta distinta: quién debería tener acceso a qué, por qué motivo de negocio, y si ese acceso sigue siendo correcto con el tiempo. IGA añade el aprovisionamiento y desaprovisionamiento automático ligado al ciclo de vida del empleado (alta, cambio de puesto, baja), catálogos de roles y aplicaciones, campañas de revisión periódica de accesos (certificación) y detección de conflictos de segregación de funciones. Es la capa de "gobierno" sobre el acceso, no la capa de autenticación ni el simple repositorio de identidades.

Una revisión manual anual en Excel depende de que cada responsable de área dedique tiempo a comprobar accesos que muchas veces ni siquiera reconoce (nombres de roles técnicos, permisos heredados de hace años), lo que en la práctica se traduce en aprobaciones "en bloque" sin revisión real. Una herramienta de IGA automatiza esas campañas de certificación, presenta los accesos en lenguaje de negocio en lugar de nombres técnicos de sistema, y deja un registro auditable de quién aprobó qué y cuándo. El punto de inflexión suele llegar cuando el número de aplicaciones y empleados hace que una revisión anual en Excel ya no sea creíble ante un auditor, algo que en empresas medianas ocurre antes de lo esperado.

El aprovisionamiento automático conecta el sistema de RRHH (la fuente de verdad sobre quién trabaja en la empresa y en qué puesto) con las aplicaciones: al dar de alta a un empleado se le crean automáticamente las cuentas y permisos correspondientes a su rol, y al tramitar su baja en RRHH se desactivan en cascada sus accesos en todos los sistemas conectados, sin esperar a que alguien lo haga manualmente aplicación por aplicación. Esto elimina el punto ciego más citado en auditorías de seguridad: la cuenta "huérfana" de alguien que ya no trabaja en la empresa pero conserva acceso porque su baja no se comunicó a tiempo a todos los sistemas.

El trabajo previo de modelado de roles (agrupar los permisos que necesita cada puesto) y de construir el catálogo de aplicaciones y accesos suele llevar más tiempo que la propia configuración técnica de la herramienta, y es el paso que más alarga los proyectos si se subestima. Para una organización mediana, este análisis inicial suele ocupar varias semanas, seguido de una fase de integración y puesta en marcha de varios meses según el número de aplicaciones a conectar. Empezar por un alcance acotado (los roles y aplicaciones más críticos primero) en lugar de intentar modelar toda la organización de golpe reduce mucho ese tiempo hasta obtener valor real.

Una plataforma de IGA seria cubre ambos escenarios: conectores estándar ya construidos para aplicaciones como Microsoft 365 o Salesforce, y la posibilidad de desarrollar conectores a medida contra el ERP, el sistema de RRHH o aplicaciones propias del sector (banca, sanidad, industria) a través de su API, base de datos o ficheros de intercambio. Precisamente porque muchas organizaciones con años de historia dependen de aplicaciones sectoriales o desarrolladas internamente, la capacidad de construir un conector a medida sin depender de un catálogo cerrado de integraciones prediseñadas suele ser un criterio decisivo al elegir herramienta.

La certificación de accesos es un proceso interno y periódico en el que un responsable de negocio confirma que cada permiso de su equipo sigue siendo necesario; es una actividad preventiva que ejecuta la propia organización. La auditoría de cumplimiento es la verificación, normalmente externa o independiente, de que esos procesos de certificación (y las políticas de segregación de funciones) realmente se han ejecutado y han sido efectivos, aportando evidencia frente a una norma o regulación concreta (ENS, ISO 27001, SOX). Necesitas ambas porque resuelven momentos distintos: la certificación es el control que se ejecuta, la auditoría es la comprobación de que ese control funciona de verdad.